3 uygulamalar

E-imza UygulamalarıE-imza Uygulamaları

DIŞİŞLERİ BAKANLIĞIDIŞİŞLERİ BAKANLIĞIE-İMZA EĞİTİMİE-İMZA EĞİTİMİ26 Mart 201026 Mart 2010

E-imza UygulamalarıE-imza Uygulamaları

DIŞİŞLERİ BAKANLIĞIDIŞİŞLERİ BAKANLIĞIE-İMZA EĞİTİMİE-İMZA EĞİTİMİ26 Mart 201026 Mart 2010

Ferda TOPCAN

Başuzman Araştırmacı

[email protected]

(312) 4688486 - 19

mailto:[email protected]

2

İçerikİçerik

• E-imza Uygulamalarındaki Riskler

• E-imza Oluşturma Yazılımı

• Zaman Damgası

• İlk İmza Doğrulama İşlemleri

• Sonraki İmza Doğrulama İşlemleri

• E-imzanın Arşivlenmesi

• E-imza Yazılımlarının Sağlaması Gereken Şartlar

• Kurum E-imza Politikası

3

Riskler

1. Kurumlararası uyumun sağlanması için ortak bir imza formatının

kullanılması:

ETSI TS 101 733ETSI TS 101 733: Electronic Signatures and Infrastructures (ESI);

CMS Advanced Electronic Signatures (CAdES)

ETSI TS 101 903ETSI TS 101 903: XML Advanced Electronic Signatures (XAdES)

2. İmza uygulamalarının güvenilirliğinin sağlanması, imza oluşturma ve

doğrulamada gerekli kontrollerin yapılması (CEN (Comité Européen

De Normalisation) Workshop Agreements):

CWA 14170CWA 14170: Security Requirements for Signature Creation Applications (İmza Oluşturma Uygulamaları İçin Güvenlik Gereksinimleri)

CWA 14171CWA 14171: Procedures for Electronic Signature Verification (İmza Doğrulama Prosedürleri)

3. Elektronik olarak imzalanacak belge içeriğinin güvenilirliğinin

sağlanması: İmzanın güvenliğini tehlikeye düşürecek dinamik veri

içermemelidir.

Elektronik İmza Elektronik İmza Oluşturma YazılımıOluşturma Yazılımı

5

Elektronik İmzanın Oluşturulması

MerhabaE-imza

Oluşturma Yazılımı

İmza oluşturma verisi(Özel anahtar)

ETSI 101 733

Elektronik imza

Merhaba

İmzasahibininsertifikası


6

Elektronik Sertifikanın Geçerlilik Kontrolleri

– Sertifika üzerindeki ESHS’nin imzası

– Sertifika geçerlilik süresi

– Sertifika kullanım amacı

– Sertifika iptal durum kontrolü

ESHS

Web Sunucu

DizinSunucu

OCSPYanıtlayıcı

Sertifikaİptal Listesi(SİL)

İMZA DOĞRULAMAUYGULAMASI

İMZA OLUŞTURMA UYGULAMASI

Sertifika iptal durum kontrolü

Elektronik imzalı veri

Sertifika iptal durum kontrolü

Çevrim içi Sertifika Durum Protokolü (Online Certificate Status Protocol)OCSP

7

• İptal olmuş sertifika bilgilerinin duyurulması amacıyla oluşturulmuş sertifikayı iptal eden kuruluşun imzasını taşıyan elektronik dosya

• Herkesin erişimine açıktır. Erişim adresi sertifika içeriğinde mevcuttur.

• Belli aralıklarla oluşturulur ve yayınlanır.

• Belli bir geçerlilik süresi vardır.

• Aşağıdaki biçimlerde yayınlanır.

–HTTP

–LDAP Dizin Sunucu

–FTP

KSM SİLYayın aralığı: 24 saat Ancak her yeni iptalde yenileniyor

KSM SİLGeçerlilik süresi: 36 saat

X.509 Sertifika İptal Listesi (SİL)

8

Sertifika İptal Listesi

9

Sertifika İptal Listesi

10

OCSP (Online Sertifika Durum Protokolü)

• Sertifikanın iptal olup olmadığı bilgisi OCSP Yanıtlayıcı’dan sorgulanır.• Erişim adresi sertifika içeriğinde mevcuttur. • OCSP cevabı ESHS imzasını taşır.

OCSPYanıtlayıcı

Sorgulama sonucu:-Sertifika geçerli-Sertifika iptal olmuş-Bilinmiyor

Sertifika geçerli

OCSP İMZASI

http://ocsp.kamusm.gov.tr

İMZA OLUŞTURMA VEYADOĞRULAMAUYGULAMASI

Sertifika iptal durum sorgulama talebi

Zaman DamgasıZaman Damgası

12

Elektronik İmzaya Zaman Bilgisinin Eklenmesi

İmza zamanı olarak aşağıdakilerden birisi belirlenebilir:

1. Kullanıcı makinasındaki sistem saati veya kurumdaki bir sunucudan

alınan saat bilgisi imza dosyasına imzalı özellik olarak eklenebilir.

Ancak bu yöntem imza zamanının belirlenmesinde güvenilir kabul

edilmemektedir.

2. Zaman damgası (Time Stamp)

•İmzanın zaman damgası alındığı tarihten önce oluşturulduğu

ispatlanır.

•Zaman damgası imza dosyasına sonradan eklenir.

•Kullanıcı imzayı oluşturduktan hemen sonra kullanıcı uygulaması zaman

damgası alabilir.

•Kullanıcı imzalı belgeyi alıcı tarafa gönderdikten sonra alıcı tarafın

uygulaması zaman damgası alabilir.

13

Elektronik İmzaya Zaman Damgası Eklenmesi

ESHS

ZamanDamgasıSunucusu

İmzanın Özet Değeri

ZD’nin İmzası

İmzanın Özet Değeri

Zaman Bilgisi

Zaman Damgası

Elektronik imza

Özetleme algoritması

ETSI 101 733

Elektronik imza

Merhaba


GÜVENİLİR ZAMAN KAYNAĞI

İlk İmza Doğrulama İlk İmza Doğrulama İşlemleriİşlemleri

15

İlk İmza Doğrulama İşlemi

• İmza oluşturulduktan ertelenme süresi (grace period)

kadar zaman geçtikten sonra gerçekleştirilir.• İmza oluşturulup, alıcıya gönderildikten sonra alıcı

tarafından gerçekleştirilebilir.• İmza sahibinin sertifikasının ve güven zincirindeki tüm

ESHS sertifikalarının geçerlilik kontrolleri yapılmalıdır.• ESHS’ye ait diğer sertifikaların (OCSP/SİL İmzalama,

Zaman Damgası) geçerlilik kontrolleri yapılmalıdır.

• SİL veya OCSP cevaplarının geçerlilik kontrolü

yapılmalıdır.

• Zaman damgasının geçerlilik kontrolü yapılmalıdır.

• Doğrulama verileri toplanmalıdır.

16


• İlk imza doğrulama sırasında toplanan “doğrulama verileri” aşağıdaki verilerdir:– Kullanıcı sertifikası– Kullanıcı sertifikasını imzalayan ESHS sertifikası ve sertifika

güven zincirindeki diğer ESHS sertifikaları– Kullanıcı sertifikası ile ilgili SİL veya OCSP cevabı– Sertifika güven zincirindeki ESHS sertifikaları ile ilgili SİL

veya OCSP cevapları– SİL veya OCSP cevabını imzalayan ESHS sertifikası– Zaman damgası– Zaman damgasını imzalayan ESHS sertifikası – Zaman damgası ile ilgili SİL veya OCSP cevabı

• Doğrulama verileri “sonraki imza doğrulama” işlemlerinde kullanılır.

17


• İmza doğrulama sırasında kullanılan “doğrulama verileri” aşağıdaki yöntemlerden birisi kullanılarak saklanır:– İmza doğrulaması yapacak tüm

kullanıcıların ulaşabileceği ortak bir alanda “doğrulama verileri” saklanır.

– “Doğrulama verileri” imza dosyasının içeriğine “imzaya dahil olmayan (unsigned attributes)” imza özellikleri olarak eklenir.

ETSI 101 733

DoğrulamaVerileri

ETSI 101 733

Elektronik imza

Merhaba


Zaman Damgası

Sertifika ve SİL

Deposu

Sonraki İmza Sonraki İmza Doğrulama İşlemleriDoğrulama İşlemleri

19

Sonraki İmza Doğrulama İşlemi

• İlk imza doğrulamadan sonra yapılan doğrulama işlemleridir.

• İlk imza doğrulamada kullanılan “doğrulama verileri” kullanılır.

• “Doğrulama verileri” aşağıdaki yöntemlerden birisi ile elde edilir:– Tüm kullanıcıların ulaşabileceği ortak bir alandan elde edilir.

– İmza dosyasının içeriğinden elde edilir.

• İlk imza doğrulaması sırasında yapılan tüm kontrollerin aynısı imzanın atıldığı tarih referans alınarak tekrar yapılır.

Sonraki İmzaDoğrulama

Yazılımı

Doğrulama Verileri

ETSI 101 733

Elektronik imza

Merhaba


Zaman Damgası

Sertifika ve SİL

Deposu

Doğrulama Verileri

Elektronik İmzanın Elektronik İmzanın ArşivlenmesiArşivlenmesi

21

Elektronik İmzanın Arşivlenmesi

• Elektronik imzalı dokümanların uzun dönem saklanması gerektiğinde arşivleme yapılır.

• Geçmişte kullanılan algoritmaların veya anahtarların artık güvenli kabul edilmediği durumlarda arşivleme yapılır.– Kullanıcı veya ESHS sertifikalarının süresinin dolması

– Kullanıcı veya ESHS sertifikalarının iptal olması

– Kullanılan algoritmalardan birisinin kriptografik olarak kırıldığının duyurulması

• ESHS Zaman Damgası sunucularına bağlanılarak, eskiden oluşturulmuş imza dosyalarına Zaman Damgası alınması yoluyla arşivleme yapılır.

• Arşivleme ilerleyen zamanlarda gerektikçe tekrarlanır.

22

Arşivleme

Arşiv Zaman Damgası

ETSI 101 733

DoğrulamaVerileri

ETSI 101 733

Elektronik imza

Merhaba


Zaman Damgası

ESHS

Zaman Damgası5/)=hf+%Zaman

DamgasıSunucusu

E-imza Yazılımlarının E-imza Yazılımlarının Sağlaması Gereken Sağlaması Gereken

ŞartlarŞartlar

24

İlgili Dokümanlar

CEN (Comité Européen De Normalisation) Workshop Agreements

CWA 14170:CWA 14170: Security Requirements for Signature Creation Applications Elektronik İmza Oluşturma Uygulamaları için Güvenlik İhtiyaçları

CWA 14171:CWA 14171: Procedures for Electronic Signature Verification Elektronik İmza Doğrulama için Prosedürler

25

Güvenli Elektronik İmza Oluşturma Yazılımı BileşenleriGüvenli Elektronik İmza Oluşturma Yazılımı Bileşenleri

Belge GörüntülemeBelge Görüntüleme

İmza Özellikleri Görüntüleme

İmza Özellikleri Görüntüleme

Güvenli elektronik imza oluşturma aracı ile iletişimin sağlanması

Güvenli elektronik imza oluşturma aracı ile iletişimin sağlanması

İmza Formatı Oluşturma İmza Formatı Oluşturma

İmzalanacak Belge

Özet Değeri OluşturmaÖzet Değeri Oluşturma

İmzaya Dahil Olan İmza Özellikleri

İmzaya Dahil Olmayan İmza Özellikleri

26

CWA 14170’e Göre Sağlanması Gereken ŞartlarCWA 14170’e Göre Sağlanması Gereken Şartlar

• Genel Güvenlik Kriterleri

– Kötü niyetli programlara karşı yazılımın güvenliği korunmalıdır.

– Güvenli elektronik imza oluşturma yazılımı ortama uzaktan yükleniyorsa (örn; Applet, plug-in) ilgili tarafın ve yüklenen programların güvenilirliği sağlanmalıdır.

– Güvenli elektronik imza oluşturma yazılımının çalıştığı ortamdaki diğer güvenilir olmayan bileşenlerin, uygulama veya iletişim kanallarının imza işlemine etki etmesi engellenmelidir.

– Yazılımın doğru kullanıcı belgesi ve imza özellikleri üzerinde doğrulanabilir bir imza oluşturması sağlanmalıdır. (İmzalanan veri üzerinde imza oluşturma işleminden hemen sonra CWA 14171’e uygun doğrulama işlemi yaptırılmalı; doğrulamada hata olursa kullanıcı bilgilendirilmelidir.)

– Kullanıcı belgesi olmadan imzalama işlemi yapılmasına izin verilmemelidir.

27

CWA 14170’e Göre Sağlanması Gereken ŞartlarCWA 14170’e Göre Sağlanması Gereken Şartlar• İmzalanacak Belge ile İlgili Sağlanması Gerekenler

– İmzalanacak belgenin imzalama işleminden önce seçilmesine ve görüntülenmesine izin verilmelidir.

– Yazılım imzalanacak verinin kullanıcıya gösterilen olduğunu garanti etmelidir. İmzalanacak verinin imzalama işleminden önce kazara veya bilerek değiştirilmesini engelleyecek önlemler alınmalıdır.

– Kazara değiştirmelere karşı, imza işleminden önce belgenin edit edilemez biçimde görüntülenmesi sağlanmalıdır.

– İmza dosyasının kullanıcı tarafından kopyasının alınmasına imkan verilebilir.(Opsiyonel)

– Yüksek güvenlik gerektiren uygulamalarda imzalanmasına izin verilen kullanıcı belge türleri belirlenebilir.(Opsiyonel)

• Sadece, saklı veri, macro, script gibi dinamik veri içermeyen kullanıcı belge türlerinin imzalanmasına imkan verilebilir.

• Dinamik verinin varlığı konusunda imza sahibi imzalama işleminden önce uyarılabilir ve imzalama işleminden vazgeçme seçeneği tanınabilir.

• İmzalanmasına izin verilen kullanıcı belge türleri dışındaki bir belgenin imzalanmak istenmesi durumunda kullanıcı uyarılıp ve imzalama işleminden çıkma seçeneği tanınabilir.

– Belge üzerinde daha önceden oluşturulmuş imzalar kullanıcıya gösterilmeli ve imzaları doğrulama seçeneği tanınmalıdır.

28


• İmza Özellikleri ile İlgili Sağlanması Gerekenler – İmza oluşturulmadan önce, imza sahibinin ilgili Nitelikli Elektronik

Sertifikasını (NES) ekrandan seçme ve görüntüleme imkanı tanınmalıdır.

– İmza sahibine ait NES imza verisine eklenmelidir.

– Bir imzada Zaman Damgası veya Zaman İşareti özelliklerinden en az birisi bulunmalıdır.

– İmza özellikleri kullanıcıya ekrandan doğru bir şekilde gösterilmelidir.

– İmza özelliklerinin dinamik veri içermesi engellenebilir veya dinamik verinin varlığı konusunda imza sahibi imzalama işleminden önce uyarılabilir ve imzalama işleminden vazgeçme seçeneği tanınabilir.

– İmza işleminden önce, imza sahibine ait NES’in geçerlilik kontrolleri yapılmalıdır.

29


• Kullanıcı Arayüzü ile İlgili Sağlanması Gerekenler– İmza işlemi tamamlanana kadar kullanıcının kontrol edebilmesi

gereken tüm noktalarda bilgilendirmeler yapılmalı; bilgilendirme yapılan işlemin sistemdeki etkisi ve sonuçlarını doğru, düzgün ve tutarlı bir biçimde ifade etmelidir.

– Yapılan işlemlerin doğruluğu ve güvenilirliği konusunda durum raporları ve hata mesajları verilmelidir.

– İmza oturumunda, kullanıcı tarafından işleme ara verilmesi durumunda işlem belirlenen bir zaman aşımı süresi sonunda durdurulmalıdır.

– Güvenli elektronik imza oluşturma aracında yapılacak işlemin hemen öncesinde, kullanıcıya uyarı mesajı verilerek kullanıcının imzadan vazgeçmesine olanak sağlanmalıdır.

– Yapılan kontrollerin geçersiz olması durumunda kullanıcı uyarılmalı ve imza işleminden vazgeçme seçeneği tanınmalıdır.

30


• Güvenli Elektronik İmza Oluşturma Aracı Erişim Verisi Girişi ile İlgili Sağlanması Gerekenler– Güvenli elektronik imza oluşturma aracı erişim verisinin belirli bir

sayıda yanlış girilmesi durumunda araca erişim engellenmelidir.

– Erişim verisinin yanlış girilmesi durumunda kullanıcı bilgilendirilmelidir.

– Erişim verisi güvenli elektronik imza oluşturma yazılımı içerisinde tutulmak durumunda ise bu aşamada güvenliği sağlanmalı ve kullanımı sona erdiğinde sistemden güvenli bir biçimde silinmelidir.

– Erişim verisinin yazılım içinde tutulması belli bir süre ile sınırlı kalmalıdır. Bu sürenin sonunda bellekten silinmelidir.

– Erişim verisi parola ise ekrandan girişte verinin görünmemesi için “*” vb. karakteri kullanılmalıdır.

31


• İmza Doğrulama– İmza sahibine ait NES içindeki açık anahtar kullanılarak imza

doğrulama işlemi yapılmalıdır.– Doğrulamada kullanılan NES istenirse görüntülenebilmelidir.– Varsa imza verisi içindeki Zaman Damgası yoksa imza zamanı

imzanın atıldığı tarih olarak belirlenmelidir. – İmzalanmış veri (imzalanmış belge ve imza özellikleri) ve

imzalanmamış imza özellikleri kullanıcıya ekrandan gösterilmelidir. Yazılım imza dosyası içeriğindeki verinin

kullanıcıya gösterilen olduğunu garanti etmelidir.

32

– NES kontrolleri yapılmalıdır:• NES geçerlilik süresi kontrolü yapılmalıdır.

• NES’in imzanın atıldığı tarihteki iptal durum kontrolü ilgili SİL veya OCSP’den yapılmalıdır.

• NES üzerindeki ESHS imzasının kontrolü yapılmalıdır.

• NES’in kullanım amacı uygunluğu kontrol edilmelidir.

– SİL veya OCSP geçerlilik kontrolleri yapılmalıdır.

– ESHS sertifikalarının geçerlilik kontrolleri yapılmalıdır.

– Varsa zaman damgasının geçerlilik kontrolleri yapılmalıdır.


33


– Doğrulama sonucu değiştirilmeksizin ekrandan kullanıcıya

gösterilmelidir.– Doğrulama başarısız ise nedenleri ekrandan kullanıcıya

gösterilmelidir.– İşlemin etkin ve verimli bir biçimde tamamlanması için

kullanıcıya gerekli bilgilendirmeler yapılmalıdır.– Yapılan işlemlerin doğruluğu ve güvenilirliği konusunda durum

raporları ve hata mesajları verilmelidir.

Kurum Kurum E-imza E-imza PolitikasıPolitikası

35

Elektronik olarak imzalanacak doküman tipleri neler olacaktır?

İmzalanan dokümanların uzun dönem saklanması gerekiyor mu?

– İleri e-imza teknikleri kullanılacak mı? (AdES- Advanced Electronic Signature)

– Hangi AdES formatları kullanılacak?– Arşivleme yapılacak mı?

İmza zamanı nasıl belirlenecek?

– Zaman damgası mı kullanılacak? – “İmza zamanı (signingTime)” özelliği mi kullanılacak?

Üst yazı ekleri nasıl imzalanacak?

Ekler ayrı ayrı imzalanabilir veya üst yazı ve tüm ekler tek bir dosya biçimine getirilebilir.

Paraf gerektiren yerlerde imza kullanılacak mı?

Kurumlarda E-imzaya Geçişte Karşılaşılan Temel Sorular

36

Kurumlarda E-imzaya Geçişte Karşılaşılan Temel Sorular

Sertifika iptal kontrolleri hangi yöntemle yapılacak?– On-line sistemlerde OCSP veya SİL kontrolü

– Off-line sistemlerde SİL kontrolü

İmzanın oluşturulduğu tarihe ait SİL veya OCSP cevapları nasıl saklanacak?

– ESHS’ye ait sertifikaların iptal kontrolleri için SİL’lerin saklanması

– Kullanıcı sertiikaları için SİL veya OCSP Cevaplarından sadece birisinin saklanması

Grace Period (Ertelenme Süresi) nasıl uygulanacak?

– Ertelenme süresinin belirlenmesi

– Ertelenme süresinin imzaya uygulanması

37

E-imza politikasıE-imza politikası

• Elektronik imzanın geçerli sayılabilmesi için imza oluşturma ve doğrulamanın nasıl yapılacağını tanımlayan kurallar setidir.

• ETSI TR 102 041: Signature Policies Report

• ETSI TR 102 045: Electronic Signatures and Infrastructures (ESI);

Signature policy for extended business model

• E-imza politikası için bir nesne tanımlama numarası oluşturulmalıdır.

Örneğin;

KSM Sertifika İlkeleri Nesne Tanımlama Numarası: 2.16.792.1.2.1.1.5.7.1.1

{ joint-iso-itu-t(2) ülke(16) tr(792) TÜBİTAK(1.2.1.1) UEKAE(5) KSM(7) KSM-sertifika-ilkeleri(1) KSM-nes-ilke-1 (1) }

• E-imza politikası nesne tanımlama numarası oluşturulan imza verisinin içine yazılır.

• E-imza politikası doküman olarak hazırlanır ve tarafların erişimine açık ortamlardan yayınlanır.

38

• İmza politikası aşağıdaki bilgileri içerir:– Politikayı oluşturan kurum adı

– Politikanın yayınlanma tarihi

– Politikanın geçerlilik aralığı

– Politikanın uygulanacağı uygulamalar

– İmzanın zaman bilgisinin ne şekilde alınacağı

– İptal kontrolünün ne şekilde yapılacağı

– Ertelenme süresinin belirlenmesi

– Kullanılacak imza formatlarının belirtilmesi

– Elektronik olarak imzalanacak doküman tiplerinin belirtilmesi

– Arşivleme ile ilgili politikaların belirtilmesi

– Paraf gerektiren yerlerde imzanın kullanılıp kullanılmayacağının belirtilmesi

– Eklerin nasıl imzalanacağının belirtilmesi

– Vs..

E-imza Politikasında Tanımlanması Gereken BaşlıklarE-imza Politikasında Tanımlanması Gereken Başlıklar

3 uygulamalar

Documents

Transcript of 3 uygulamalar